随着欧盟《AI法案》即将强制要求 AI 内容必须具备可识别性，文本水印技术已成为大模型厂商面临的核心技术难题。文章详细剖析了当前主流的文本水印方案及其固有缺陷。谷歌采用的 SynthID 技术通过操纵 Token 采样概率分布来嵌入数学指纹，而 OpenAI 和 Anthropic 据推测可能利用 Unicode 同形异义字符（如不同编码的空格）进行隐蔽标记。然而，文章指出文本作为一种高信息密度、低噪声容忍度的媒介，其水印在技术上极其脆弱。攻击者只需使用未加水印的模型对文本进行简单的改写，或利用正则表达式将同形异义字符标准化，即可在几乎不损伤语义的情况下移除水印。这意味着尽管法规要求水印必须“难以分离”，但在纯文本场景下，这一目标在技术层面几乎无法实现，现有的水印方案无法满足欧盟关于技术稳健性的合规标准。
事件分析
文本水印的核心困境在于文本生成与图像生成的本质不同：图像的冗余空间允许嵌入不可见水印，而文本的 Token 选择空间极其狭窄，任何强制性的水印嵌入都会牺牲生成质量或极易被重写洗白。SynthID 等方案虽然在数学逻辑上成立，但在面对基于弱模型的“洗稿”攻击时几乎毫无防御力，这导致 AI 供应商不得不通过法律手段（如隐蔽算法）而非技术壁垒来保护水印机制。此外，欧盟要求的互操作性将进一步削弱安全性，因为公开的算法极易被针对性绕过。相比之下，基于数字签名（如 C2PA）的元数据方案虽然难以伪造，但仅适用于文件传输，无法覆盖 ChatGPT 等交互式聊天产生的纯文本流。这预示着未来的合规检测可能不得不依赖于成本高昂的云端黑盒验证，而非轻量级的本地指纹检测。
核心观点：文本的高压缩特性决定了水印极易被改写破坏，欧盟《AI法案》关于“难移除”的合规要求在纯文本场景下存在根本性的技术悖论。
原文链接：Hacker News
